При соединении с localhost произошла ошибка sec_error_invalid_key

axe · №1

Разрабатываю web-интерфейс локально. При обновлении FF 31 → FF 33.0.1 перестал открываться локальный адрес httpS://localhost/.
http://localhost/ продолжает загружаться нормально.

Текст ошибки:

Ошибка при установлении защищённого соединения
При соединении с localhost произошла ошибка. Ключ не поддерживает запрошенную операцию. (Код ошибки: sec_error_invalid_key)
* Страница, которую вы пытаетесь просмотреть, не может быть отображена, так как достоверность полученных данных не может быть проверена.
* Пожалуйста, свяжитесь с владельцами веб-сайта и проинформируйте их об этой проблеме.

Как решить? (Кроме перехода к использованию http://)

banbot · №2

axe
Что пишет ночная сборка Firefox?

axe · №3

Ночную не ставил. Пробовал 34b3.
Пишет то же самое.

axe · №4

Пробовал на ночной. Точно так же не открывает. Только ошибка меняется на:

При соединении с localhost произошла ошибка. Размер ключа сертификата, полученного от сервера, слишком мал для установки защищённого соединения. (Код ошибки: mozilla_pkix_error_inadequate_key_size)

banbot · №5

axe
Ну Firefox вам и говорит, что длина ключа у вас слабовата для нынешних времён. В версии 33 запретили сертификаты с длиной < 1024 бит.
Сгенерируйте новый ключ для локального веб-сайта подлиннее.

axe · №6

banbot, кажется, получилось, спасибо!

Строчки, которые взял по ссылке, пришлось чуть подправить (под потребности Denwer-a):

Выделить код

Код:

openssl genpkey -algorithm RSA -out privkey.pem -pkeyopt rsa_keygen_bits:2048
openssl req -new -key privkey.pem -days 1096 -extensions v3_ca -batch -out server.csr -utf8  -subj '/CN=localhost'
openssl x509 -req -sha256 -days 3650 -in server.csr -signkey privkey.pem -serial $ANY_INTEGER -extfile openssl.ss.cnf -out server.crt

Содержимое файла openssl.ss.cnf:

Выделить код

Код:

basicConstraints = CA:FALSE
subjectAltName =DNS:localhost
extendedKeyUsage =serverAuth

В четверг на ещё одной машине надо будет выполнить такую же операцию. Если не получится, то снова приду с вопросами.

banbot · №7

axe

openssl x509 -req -sha256 -days 3650 -in server.csr -signkey privkey.pem -serial $ANY_INTEGER -extfile openssl.ss.cnf -out server.crt

К слову, вместо $ANY_INTEGER нужно поставить любое целое число, например 01, если это неясно.

axe · №8

Не догадался. Подумал, что это хитрая системная переменная. Спасибо!
Ну да и так работает, а для локалки мне не важно.

prostoya · №9

banbot пишет

axe
Ну Firefox вам и говорит, что длина ключа у вас слабовата для нынешних времён. В версии 33 запретили сертификаты с длиной < 1024 бит.
Сгенерируйте новый ключ для локального веб-сайта подлиннее.

а можно для особо трудных, на пальцах ? )
что куда надо тыкать..

axe · №10

prostoya, не могли бы вы сформулировать вопрос поточнее?
Решение исходного вопроса в comment #6. Там openssl - это команды, которые надо выполнить в консоли linux-a.

prostoya · №11

так а для венды нет решения ?
или это проблемы на том ресурсе а не в браузере входящего ?

alexey095 · №12

если у кого-то, как и у меня, виртуальный сервер Denwer стоит под Windows, то чтобы долго не париться с установкой библиотеки OpenSSL для генерации ключей,
можно воспользоваться бесплатным сервисом Create self-signed SSL certificates online:

промотайте вниз к зеленой формочке Certificate signing request, certificate and private key settings и введите там следующие значения полей:
Common Name (eg, your name, domain name or ip address) [CN]: localhost
RSA key bit length: 2048
Number of days the certificate is valid: 3650

остальные поля можно от фонаря заполнить, после этого нажмите кнопку "Generate".

дальше идёте в папку сертификатов своего Apache
C:\denwer\usr\local\apache\conf\cert\

и правите все три файла (на всякий случай предварительно сделав их backup) содержимым из только что сгенерированных ключей:

The Certificate Signing Request (csr) -> server.csr
The Self-Signed SSL Certificate (cert) -> server.crt
The Private Key (privatekey) -> privkey.pem

вот, собственно, и всё решение.

после этого открываете ваш https://localhost/ (или другой локальный сайт под Denwer), читаете ругань Firefox на то, что это соединение является "недоверенным",
жмёте ссылку "Я понимаю риск" и добавляете свой localhost в исключения безопасности. в следующий раз Firefox на него ругаться уже не будет.

Отредактировано alexey095 (02-11-2014 16:45:48)

prostoya · №13

у меня ничего не стоит, стоит далеко на хостах, не один год, и только на один вот перестало пускать, на днях, с фф, а с хрома к примеру пускает..

Полезная информация

№127-10-2014 12:03:23